JP7047636B2 - 通信システム及び通信方法 - Google Patents

Description

本発明は、通信システム及び通信方法に関する。

近年の経済活動や生活環境のＩＣＴ（Information and Communication Technology）化は、便利さが供給される反面、セキュリティインシデント発生時の影響度が大きくなっており、セキュリティ対策の重要性は、日々高まっている。

刻々と変化するサイバー分野での脅威に対し、セキュリティベンダや研究機関によりセキュリティ対策技術の研究開発が進められている。しかしながら、現在、ゼロデイ攻撃といった既存の検知ルールでは検知できない未知の攻撃は、大きな脅威となっている。このような未知の攻撃への対抗策として、正常状態を定義し、正常状態と識別できない状態を異常状態と識別するアノマリ検出手法の採用が始まっている。

ＩＣＴ環境、例えば、ＩｏＴ（Internet of Things）に代表される全てのモノがネットワークに繋がる環境下において、サイバー攻撃の標的とされる機器の多くがネットワーク経由で攻撃を受ける。このため、ネットワークに流れる通信を監視することは、セキュリティ対策として効果的であり、ネットワークの通信監視にアノマリ検出手法を適用することは、さらに効果的な手法であるといえる。

アノマリ検出手法では、正常状態の定義を、学習することが現在のトレンドとなっており、アノマリ検出手法をネットワーク通信監視に適用する場合には、ネットワークに流れる通信群に対し、学習により正常状態を定義する方法を用いる。

ネットワーク通信監視におけるアノマリ検出手法は、正常状態と定義したネットワークに流れる通信を正常状態の通信として学習する期間（以降、学習フェーズ）と、学習完了後にネットワークに流れる通信が、学習した状態と同じであることが識別できない場合に異常であると検知する期間（以降、検知フェーズ）との２つのフェーズを設けている。実際にアノマリ検出手法が使用される際は、学習フェーズを行い、その後、検知フェーズを行う。

ここで、学習フェーズにおいて生成される正常状態を表現するデータは、例えば、通信フロー情報の場合であれば、通信先やプロトコルなど値や文字列で表される。また、正常状態を表現するデータは、通信の特徴を機械学習の入力とするものであれば、数理モデル（数式やパラメータの集まり）で表される。アノマリ検出手法の実装の仕方によって,
正常状態を表現するデータは様々である。以降、この正常状態を表現するデータをモデルと呼ぶこととする。

アノマリ検出手法の一例として、学習・検知機能からなるホワイトリスト機能を有するネットワークスイッチ製品がある。このネットワークスイッチ製品は、学習フェーズではネットワークに流れたトラフィックの通信フロー（通信先やプロトコルなど）のそれぞれを正常なものとして学習（ホワイトリストとして定義）し、検知フェーズでは正常なものとは異なる通信フローをアノマリ検出する（非特許文献１参照）。

また、他の例として、主にＩｏＴ機器を対象に、機器の通信の正常パターンを機械学習によりモデル化し、これを正常状態と定義し、モデルに当てはまらないパターンの通信を識別することでアノマリ検出を行うという技術がある（非特許文献２参照）。

アラクサラネットワークス ネットワーク・セキュリティホワイトリスト機能、［online］、［平成３０年６月１４日検索］、インターネット＜ＵＲＬ：https://www.alaxala.com/jp/solution/security/wl/＞ Zingbox Enabling the Internet of Trusted Things、［online］、［平成３０年６月１４日検索］、インターネット＜ＵＲＬ：https://www.zingbox.com/＞

上記のアノマリ検出手法を実現するにあたり学習フェーズが不可欠である。ここで、アノマリ検出手法においては、学習フェーズ中に異常通信が混入した場合、その通信が正常状態の一部として学習され、その後の検知フェーズにおいて混入した異常通信を検出することができないという問題がある。

すなわち、学習という手段を使うアノマリ検出手法には、学習フェーズ中が脆弱な期間になるという弱点がある。

このため、学習フェーズを行う際は、信頼された機器群を基にネットワークを初期構築し、その環境上で学習フェーズを行い、その後検知フェーズに移行するという、学習フェーズ時のネットワークの健全性を担保するための特別な段取りが必要となる。

しかしながら、ネットワークの運用上、初期構築から始められない場合がある。例えばネットワーク運用中の接続機器のソフトウェア改変がある場合や、運用ポリシーの変更の場面によって通信の正常状態が刻々と変化していく場合である。非特許文献１に記載の技術の場合、運用中のネットワークの正常状態に変化があると、再度学習フェーズに切り替え、正常状態の定義のアップデートが必要となる。

ここで、非特許文献１記載の技術を用いる場合には、再学習を行う際に学習フェーズ時に異常が混入していないことの担保、つまり、再学習の学習フェーズの健全性の担保が難しいという課題がある。

このような課題に対し、非特許文献２記載の技術のように、個々の機器を監視する仕組みとし、接続機器ごとに正常状態を作る処理を行えば、機器ごとのフェーズ切り替えにより、学習フェーズ中の脆弱な期間を機器毎に極小化はできる。しかしながら、非特許文献２記載の技術でも、再学習において学習フェーズの健全性の担保が難しいという課題がある点は、非特許文献１に記載の技術とは何ら変わりない。

また、非特許文献１記載の技術と非特許文献２記載の技術において、仮に学習フェーズ中に異常の検知ができたとしても、この検知が本当の異常によるものか、誤って正常を検知してしまったものかを分析し、正常状態に取り込むか否かを判断しなければ、学習フェーズが進められないため、学習期間が長期化するという課題も潜在している。

本発明は、上記に鑑みてなされたものであって、異常通信を検知する際の学習フェーズをよりセキュアに実行する通信システム及び通信方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る通信システムは、第１のネットワークと、第２のネットワークとを有する通信システムであって、第１のネットワークは、第１の通信装置と、第１の通信装置に正常状態のテスト通信を送信し、第１の通信装置による通信を受信する通信テストを行うテスト装置と、テスト通信と第１の通信装置による通信とを学習して第１の通信装置の異常通信を検知する初期モデルを生成し、初期モデルを第２のネットワークに送信する第１のサーバと、を有し、第２のネットワークは、第１の通信装置と同型の第２の通信装置と、第１のサーバ装置から受信した初期モデルを用いて第２の通信装置の通信を監視しながら、第２の通信装置の通信を学習して第２の通信装置の異常通信を検知する第１のモデルを生成する第２のサーバ装置と、有することを特徴とする。

本発明によれば、異常通信を検知する際の学習フェーズをよりセキュアに実行する。

図１は、実施の形態１における通信システムの構成の一例を示す図である。 図２は、図１に示す学習・検知サーバの構成の一例を示すブロック図である。 図３は、図１に示す通信システムにおける処理の流れについて説明する図である。 図４は、図１に示すステージング用ネットワークにおけるホストに対する通信及び学習の状態を模式的に示した図である。 図５は、図１に示す運用ネットワークにおけるホストに対する通信及び監視の状態を模式的に示した図である。 図６は、実施の形態１に係る通信処理の処理手順を示すシーケンス図である。 図７は、従来技術による学習・検知サーバにおけるホストに対する通信及び監視の状態を模式的に示した図である。 図８は、実施の形態２における通信処理の流れについて説明する図である。 図９は、モデルが学習した通信とホストの通信との関係を示す図である。 図１０は、実施の形態２におけるステージング用ネットワークにおけるホストに対する通信、学習及び監視の状態を模式的に示した図である。 図１１は、モデルが学習した通信とホストの通信との関係を示す図である。 図１２は、実施の形態２におけるステージング用ネットワークにおけるホストに対する通信、学習及び監視の状態を模式的に示した図である。 図１３は、実施の形態２に係る通信処理の処理手順を示すシーケンス図である。 図１４は、モデルが学習した通信とホストの通信との関係を示す図である。 図１５は、モデルが学習した通信とホストの通信との関係を示す図である。 図１６は、実施の形態３における運用ネットワークにおけるホストに対する通信、学習及び監視の状態を模式的に示した図である。 図１７は、実施の形態３に係る通信処理の処理手順を示すシーケンス図である。 図１８は、従来技術における通信の監視及び過検知通信の学習について説明する図である。 図１９は、実施の形態３における通信の監視及び過検知通信の学習について説明する図である。 図２０は、プログラムが実行されることにより、学習・検知サーバが実現されるコンピュータの一例を示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［実施の形態１］
まず、本発明の実施の形態１について説明する。図１は、実施の形態１における通信システムの構成の一例を示す図である。

図１に示すように、実施の形態１に係る通信システム１００は、ステージング用ネットワーク１（第１のネットワーク）と、運用ネットワーク２（第２のネットワーク）とを有する。

運用ネットワーク２は、実際にＩｏＴ機器等が運用されるシステム環境である。運用ネットワーク２は、ホスト５ａ，５ｂ，５ｃ（第２の通信装置）と、学習・検知サーバ８（第２のサーバ装置）とを有する。

ホスト５ａ，５ｂ，５ｃは、ＩｏＴ機器等の通信装置である。なお、複数のホスト５ａ，５ｂ，５ｃのそれぞれを区別することなく総称する場合に単にホスト５と記載する。また、図１に例示された運用ネットワーク２は、３台のホスト５ａ，５ｂ，５ｃを有するが、ホスト５の台数は、一以上であればよい。

学習・検知サーバ９は、正常通信を学習したモデルを用いて、ホスト５ａ，５ｂ，５ｃの通信の異常を検知する。学習・検知サーバ９は、正常通信を学習してモデルを生成する。学習・検知サーバ９は、学習・検知サーバ８（後述）と同じ機能を有し、モデルを相互に交換できる。学習・検知サーバ９は、学習・検知サーバ８から受信した初期モデルを用いてホスト５ａ，５ｂ，５ｃの通信を監視しながら、５ａ，５ｂ，５ｃの通信を学習して５ａ，５ｂ，５ｃの異常通信を検知する第１のモデルを、５ａ，５ｂ，５ｃごとに生成する。

ステージング用ネットワーク１は、運用ネットワーク２と類似するシステム環境であり、検証用（テスト用）に使用される。ステージング用ネットワーク１は、ホスト５と同型のホスト４ｔ（第１の通信装置）と、テスト実行サーバ３（テスト装置）と、学習・検知サーバ８（第１のサーバ装置）とを有する。

テスト実行サーバ３は、テスト機器であるホスト４ｔに、正常状態のテスト通信を送信し、ホスト４ｔによる通信を受信する通信テストを行う。

学習・検知サーバ８は、テスト実行サーバ３によるテスト通信及びホスト４ｔから発生した通信を学習してホスト４ｔの異常通信を検知する初期モデルを生成する。学習・検知サーバ８は、初期モデルを学習・検知サーバ９に送信する。

なお、本実施の形態１において、ステージング用ネットワーク１における学習・検知サーバ８と学習・検知サーバ９とにおけるモデルの交換のうち、ステージング用ネットワーク１の学習・検知サーバ８から運用ネットワーク２の学習・検知サーバ９への受け渡しをインポートとし、その逆方向をエクスポートとする。

実施の形態１に係る通信システム１００では、ステージング用ネットワーク１において、ホスト５と同型のホスト４ｔを用いて初期モデルを事前に生成しておく。通信システム１００では、監視対象機器であるホスト５が運用ネットワーク２で実際に使用される際に、事前生成した初期モデルを、ステージング用ネットワーク１から運用ネットワーク２へインポートする。

そして、運用ネットワーク２では、この初期モデルを、各通信装置の通信の監視に使用しながら、ホスト５の通信を学習して、ホスト５ごとに第１のモデルを生成する。これによって、通信システム１００では、検知フェーズと学習フェーズとの同時実行を可能とし、学習フェーズ中の脆弱な期間の発生を抑止してリスクを低減している。

［学習・検知サーバの構成］
次に、学習・検知サーバ８，９の構成について説明する。図２は、図１に示す学習・検知サーバ８，９の構成の一例を示すブロック図である。図２に示すように、学習・検知サーバ８，９は、通信部１１、記憶部１２及び制御部１３を有する。

通信部１１は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースである。通信部１１は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置と制御部１３（後述）との間の通信を行う。

記憶部１２は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、学習・検知サーバ８，９を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部１２は、モデル１２１を有する。モデル１２１は、ホスト４ｔ，５の通信を学習して、ホスト４ｔ，５の異常通信を検知するために使用される。モデル１２１は、異常通信検知のために使用される演算式やパラメータを含む。

制御部１３は、学習・検知サーバ８，９全体を制御する。制御部１３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部１３は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。制御部１３は、学習部１３１、監視・検知部１３２及びモデル送受信部１３３を有する。

学習部１３１は、ホスト４ｔ，５の通信をキャプチャして、ホスト４ｔ，５の通信を学習し、モデルの生成、或いは、モデルの更新を行う。学習部１３１は、生成したモデルのモデルパラメータ、或いは、更新したモデルのモデルパラメータを記憶部１２に格納する。

ここで、学習・検知サーバ８の場合、学習部１３１は、テスト実行サーバ３による通信テスト実行時に、テスト実行サーバ３によるテスト通信及びホスト４ｔから発生した通信を学習してホスト４ｔの異常通信を検知する初期モデルを生成する。また、学習・検知サーバ９の場合、学習部１３１は、ホスト５の通信を学習してホスト５の異常通信を検知する第１のモデルをホスト５ごとに生成する。

監視・検知部１３２は、モデル１２１を用いて、ホスト４ｔ，５の通信を監視し、異常通信を検知する。

モデル送受信部１３３は、学習部１３１が生成したモデルを、他方の学習・検知サーバ８，９に送信する。また、モデル送受信部１３３は、他方の学習・検知サーバ８，９が生成したモデルを受信する。

［全体の処理の流れ］
次に、通信システム１００における処理の流れについて説明する。図３は、図１に示す通信システム１００における処理の流れについて説明する図である。

まず、ステージング用ネットワーク１では、学習・検知サーバ８は、テスト実行サーバ３によるテスト通信、及び、テスト実行サーバ３によるホスト４ｔへの通信テストによってホスト４ｔから発生した通信を学習する。具体的には、学習・検知サーバ８は、テスト実行サーバ３によるテストシナリオとホスト４ｔとを用いて、運用ネットワーク２用の最新の初期モデルｔ０を生成する（図３の（１）参照）。続いて、学習・検知サーバ８は、最新の初期モデルを、運用ネットワーク２の学習・検知サーバ９にインポートする（図３の（２）参照）。

そして、運用ネットワーク２では、学習・検知サーバ９が、新ホスト（図ではホスト５ａ）の接続時に、ホスト５ａの通信を、最新の初期モデルｔ０を使って監視しながら、ホスト４ａ用のモデルａ１（第１のモデル）を生成する（図３の（３）参照）。そして、学習・検知サーバ９は、生成したモデルａ１を用いて、ホスト５ａの通信を監視し、異常通信の検知を行う。

［ステージング用ネットワークの処理の流れ］
次に、ステージング用ネットワーク１における初期モデルの生成処理の流れについて説明する。図４は、図１に示すステージング用ネットワーク１におけるホスト４ｔに対する通信及び学習の状態を模式的に示した図である。

図４以降の同様の図は、縦軸に時間軸を取った図で、上段に記載しているホストにおける通信・監視状態を模式的に表している。図４以降の同様の図は、時間軸に沿って、ホストに対する状況のうち、ホストに対する試験の状況を「試験状況」ラベルを振ったレーン（以降、「試験状況レーン」）、通信に関する状況を「通信状況」ラベルを振ったレーン（以降、「通信状況レーン」）、監視に関する状況を「監視状況」ラベルを振ったレーン（以降、「監視状況レーン」）、検知に関する状況を「検知状況」ラベルを振ったレーン（以降、「検知状況レーン」）に分けて、通信、学習、監視・検知の状況を説明する。図４以降の図において、モデルに取り込んだ通信は黒丸を始点とする矢印（例えば、通信区間Ｐ３－１から左に伸びる矢印）で表現している。

図４に示すように、ステージング用ネットワーク１では、運用ネットワーク２での動作確認をするため、一般に、運用ネットワーク２のホスト５と同型機であるホスト４ｔを用いた全機能を網羅的にチェックする総合的なテストが行われる。

まず、図４の「試験状況レーン」では、テスト用のホスト４ｔへのテスト通信に関する試験シナリオＴ０が示され、テスト実行サーバ３は、この試験シナリオＴ０が行われた期間を、試験期間Ｐ２－１として、全機能を網羅的にチェックする総合的なテスト通信を行う。この際に、ホスト４ｔが発生する通信は「通信状況レーン」の通信区間Ｐ３－１に示す。

そして、学習・検知サーバ８は、通信区間Ｐ３－１の通信を取り込むことによって、「学習状況レーン」に示すように、初期モデルｔ０を生成する（図４の（１）参照）。この初期モデルｔ０は、運用ネットワーク２のモデルのテンプレートにあたるものとなる。

［運用ネットワークの処理の流れ］
次に、運用ネットワーク２における監視及びモデル生成の処理の流れについて説明する。図５は、図１に示す運用ネットワーク２におけるホスト５ａに対する通信及び監視の状態を模式的に示した図である。

図５に示すように、学習・検知サーバ９は、「監視状況レーン」の通信区間Ｐ２－２の間のホスト５ａの通信を、図４で生成した初期モデルｔ０を使用して監視している（図５の（１）参照）。この初期モデルｔ０の受け渡しは、ステージング用ネットワーク１の学習・検知サーバ８と運用ネットワーク２の学習・検知サーバ９との間の通信により、ステージング用ネットワーク１から運用ネットワーク２にインポートされることで実現される。

これにより、図５では、学習・検知サーバ９は、初期モデルｔ０を使用して通信区間Ｐ２－２におけるホスト５ａの通信を監視しながら、運用ネットワーク２で実際に、自装置とホスト５ａとの間の通信を取り込んでモデルａ１を生成する（図５の（２）参照）。その後の通信期間Ｐ３－２以降、学習・検知サーバ９は、生成したモデルａ１を使用して、ホスト５ａの通信を監視する（図５の（３）参照）。

［通信処理の処理手順］
図６は、通信システム１００における処理の流れについて説明する。図６は、実施の形態１に係る通信処理の処理手順を示すシーケンス図である。

まず、ステージング用ネットワーク１では、学習・検知サーバ８は、テスト実行サーバ３によるテスト通信（ステップＳ１）によって発生したホスト４ｔとテスト実行サーバ３との間の通信（ステップＳ２）をキャプチャし（ステップＳ３）、ホスト４ｔの通信を学習して初期モデルを生成する（ステップＳ４）。

運用ネットワーク２では、学習・検知サーバ９は、ホスト状況を確認し（ステップＳ５）、新規ホスト追加または監視外のホストを発見したかを判定する（ステップＳ６）。学習・検知サーバ９は、新規ホスト追加及び監視外のホストを発見していないと判定した場合（ステップＳ６：Ｎｏ）、ステップＳ５に戻り、ホスト状況の確認を継続する。

これに対し、学習・検知サーバ９が、新規ホスト追加または監視外のホストを発見したと判定した場合（ステップＳ６：Ｙｅｓ）について説明する。この場合、学習・検知サーバ９は、ステージング用ネットワーク１から初期モデルのインポートを受け（ステップＳ７）、この初期モデルを用いて、新たなホスト５と他の装置（例えば、第１の通信先の装置）との間の通信（ステップＳ８－１）をキャプチャして（ステップＳ８－２）監視しながら、ホスト５のモデルを生成する（ステップＳ９）。

学習・検知サーバ９は、ホスト５のモデル生成後、生成したホスト５のモデルを用いて、ホスト５と第１の通信先の装置との間の通信（ステップＳ１０－１）をキャプチャして（ステップＳ１０－２）、ホスト５の通信を監視し（ステップＳ１１）、異常通信の検知を行う。

［実施の形態１の効果］
ここで、従来技術について説明する。図７は、従来技術による学習・検知サーバにおけるホストｘに対する通信及び監視の状態を模式的に示した図である。図７に示すように、従来の学習・検知サーバは、新規接続・通信を開始したホストｘに対し、「学習状況レーン」に示すように通信区間Ｐ２－３でホストｘの通信を取り込んでモデルｘ１を生成する（図７の（１）参照）。その後、従来の学習・検知サーバは、「監視状況レーン」に示すように、モデルｘ１を用いて、「通信状況レーン」の通信区間Ｐ５－３の通信を監視することによって（図７の（２）参照）、異常通信の有無を検知する。したがって、従来技術では、学習を行っている際に通信の監視は行っておらず、学習終了後から、通信の監視を実行するため、学習フェーズ中に脆弱な期間が発生するという問題があった。

これに対し、本実施の形態１では、予め、ステージング用ネットワーク１において、運用ネットワーク２のホスト５と同型のホスト４ｔに対するテスト通信を学習してホスト４ｔ用の初期モデルを生成している。本実施の形態１では、この初期モデルが運用ネットワーク２にインポートされ、学習・検知サーバ９は、この初期モデルｔ０を用いてホスト５ａの通信も監視しながら、ホスト５ａの通信を学習してホスト５ａに対応するモデルａ１を生成する。したがって、学習・検知サーバ９は、学習フェーズ中も監視を実行するため、学習フェーズ中の脆弱な期間の発生を抑止でき、異常通信を検知する際の学習フェーズをよりセキュアに実行することができる。

［実施の形態２］
次に、実施の形態２について説明する。実施の形態２では、実施の形態１で説明した初期モデルをさらに高精度化する方法について説明する。実施の形態２に係る通信システムは、実施の形態１に係る通信システム１００と同じ構成を有する。

［全体の処理の流れ］
次に、実施の形態２における通信処理の流れについて説明する。図８は、実施の形態２における通信処理の流れについて説明する図である。図８では、学習・検知サーバ９が、生成したモデルａ１を用いて、ホスト５ａ，５ｂ，５ｃの通信を監視した後の処理について説明する。すなわち、学習・検知サーバ９では、ホスト５ａ，５ｂ，５ｃのモデルが完成している状態である（図８の（１）参照）。この状態において、学習・検知サーバ９は、ホスト５ａ，５ｂ，５ｃのモデル（ａ１，ｂ１，ｃ１）を、ステージング用ネットワーク１の学習・検知サーバ８にエクスポートする（図８の（２）参照）。

学習・検知サーバ８は、テスト実行サーバ３によるテストシナリオと、ホスト５ａ，５ｂ，５ｃのモデル（ａ１，ｂ１，ｃ１）を使って、より精度の高い初期モデルを生成する（図８の（３）参照）。言い換えると、学習・検知サーバ８は、テスト実行サーバ３によるテストシナリオと、ホスト４ｔを使って、運用ネットワーク２用の初期モデル（ｔ１）を生成して、初期モデルを最新化する（図８の（４）参照）。そして、学習・検知サーバ８は、生成した最新の初期モデルｔ１を学習・検知サーバ９にインポートする（図８の（５）参照）。

続いて、学習・検知サーバ９は、新ホスト（図８ではホスト５ｎ）接続時に、最新の初期モデルｔ１でホスト５ｎの通信を監視しながら、ホスト５ｎ用のモデルを生成する（図８の（６）参照）。すなわち、学習・検知サーバ９は、新たに接続するホスト５ｎについては、新しい初期モデルを使って、監視しながら、学習をする（図８の（７）参照）。

このように、本実施の形態２では、ステージング用ネットワーク１は、運用ネットワーク２からエクスポートされた各ホスト５のモデルを用いて、初期モデルを最新化し、最新の初期モデルを運用ネットワーク２にインポートする。

ここで、実施の形態１においても説明したように、ステージング用ネットワーク１のホスト４ｔと同型の機器であれば、運用ネットワーク２のホスト５導入時に、ステージング用ネットワーク１で生成した初期モデルｔ０を運用ネットワーク２にインポートしてくることで、学習フェーズ中も、この初期モデルｔ０を用いて、通信を監視することができる。

ただし、実施の形態１では、初期モデルは、ホスト４ｔの全機能の網羅的なテスト通信に応じた全通信を用いて生成しているため、運用ネットワーク２では実際には使われない通信も学習として取り込まれている。図９は、モデルが学習した通信とホストの通信との関係を示す図である。

具体的には、図９に示すテスト中にテスト実行サーバ３によるテスト通信及びホスト４ｔが発生する通信群Ｇｔが、初期モデルｔ０の入力情報となる。この通信群Ｇｔの通信のうち、通信Ｃｔは、運用中に、実際にホスト５ａが発生する通信群Ｇａに含まれる通信であり、テストトラフィック中、真に監視が必要な通信である。

これに対し、通信Ｃｊは、通信群Ｇａに含まれない通信であり、運用中には使用されない未使用機能であるため、正常状態に含めないでよい通信である。この通信Ｃｊは、初期モデルを使って監視した場合には、正常なものと識別される通信であるものの、仮に、この通信Ｃｊと同様の通信を介してサイバー攻撃が行われた場合、見逃しのリスクとなってしまう。言い換えると、通信Ｃｊは、運用ネットワーク２では未使用機能であるため、ステージング用ネットワーク１のモデル生成時においても、正常状態に含めるべきではない通信となる。

このため、本実施の形態２では、ステージング用ネットワーク１において２回目以降に初期モデルを生成する場合、この通信Ｃｊを、初期モデルｔ１の学習対象から排除することによって、初期モデルの精度を上げている。具体的に、図１０を参照して、ステージング用ネットワーク１における初期モデルｔ１生成について説明する。図１０は、実施の形態２におけるステージング用ネットワーク１におけるホスト４ｔに対する通信、学習及び監視の状態を模式的に示した図である。

図１０に示すように、学習・検知サーバ８が、運用ネットワーク２で生成したホスト５ａのモデルａ１を使用し、新しい初期モデルｔ１を生成するまでの処理を示す。まず、図１０の「監視状況レーン」に示すように、モデルａ１は、運用ネットワーク２からステージング用ネットワーク１にエクスポートしてきたモデルであり、ステージング用ネットワーク１の通信の監視に使用される。

そして、試験シナリオＴ０の実施によって、学習・検知サーバ８は、試験区間Ｐ３－４の間のホスト４ｔの通信のうち、モデルａ１を使って抽出される通信、つまり、モデルａ１で正常とは異なるものと識別される通信Ｃｊ４を検知する。図１０の例では、学習・検知サーバ８は、「検知状況レーン」にあるように、テスト通信のうち「テストｎでの検知」や「テストｎ＋１での検知」というように、通信Ｃｊ４がどのテストにより発生させられたかを、テスト実行サーバ３との連携により識別できる（図１０の（１）参照）。

したがって、学習・検知サーバ８は、モデルａ１でホスト４ｔの通信を監視することによって、モデルａ１において異常通信と検知される通信Ｃｊ４を抽出できる。

続いて、テスト実行サーバ３は、試験シナリオＴ０から、通信Ｃｊ４を発生するテストを除外した（図１０の（２）参照）試験シナリオＴ１を作成する。そして、学習・検知サーバ８は、「試験状況レーン」に示すように、試験シナリオＴ１の実施によって、試験区間Ｐ６－４の間のホスト４ｔの通信から初期モデルｔ１を生成する（図１０の（４）参照）。この試験区間Ｐ６－４に対応する通信区間Ｐ２－２の間のホスト４ｔの通信に対し、モデルａ１の検知はない（図１０の（３）参照）。したがって、学習・検知サーバ８は、不要な通信Ｃｊ４が学習に取り込まれていない、初期モデルｔ０より高精度の初期モデルｔ１を生成できる。

図１１は、モデルが学習した通信とホストの通信との関係を示す図である。図１１に示すように、初期モデルｔ１は、図１１の領域Ａｔの通信から生成されたモデルとなる。すなわち、初期モデルｔ１は、ホスト４ｔが発生する通信群Ｇｔのうち、不要な通信Ｃｊを除外した、真に監視が必要な通信Ｃｔのみが含まれる領域Ａｔの通信を入力として生成される。

学習・検知サーバ８は、この最新の初期モデルｔ１を運用ネットワーク２にインポートし、運用ネットワーク２において新たに接続されるホスト５ｎのモデルとして使用することによって、運用ネットワーク２において、より適切に監視を行いながら安全にモデルを生成することができる。

なお、図１０では、ホスト５ａのモデルａ１を用いて初期モデルを最新化する場合を例として示したが、もちろんこれに限らない。図１２は、実施の形態２におけるステージング用ネットワーク１におけるホスト４ｔに対する通信、学習及び監視の状態を模式的に示した図である。

ステージング用ネットワーク１では、学習・検知サーバ８は、図１２のように３つのホスト５ａ，５ｂ，５ｃのそれぞれが生成したモデルａ１，ｂ１，ｃ１がエクスポートされた場合、この３つのモデルａ１，ｂ１，ｃ１を使用し、図１０と同様の処理を行うことで、ホスト群の特徴をより抜き出した初期モデルｔ１を生成することが可能となる。

例えば、試験シナリオＴ０の実施によって、学習・検知サーバ８は、試験区間Ｐ３－４の間のホスト４ｔの通信のうち、モデルａ１，ｂ１，ｃ１を使って検知される通信Ｃｊ４ａ，Ｃｊ４ｂ，Ｃｊ４ｃを検知する。図１２の例では、学習・検知サーバ８は、「検知状況レーン」にあるように、モデルａ１はテストｍで通信ＣＪ４ａを検知し、モデルｂ１はテストｍ＋１で通信Ｃｊ４ｂを検知し、モデルｃ１はテストｍ＋２で通信Ｃｊ４ｃを検知したことを識別できる（図１２の（１－ａ），（１－ｂ），（１－ｃ）参照）。

続いて、テスト実行サーバ３は、試験シナリオＴ０から、通信Ｃｊ４ａ～Ｃｊ４ｃを発生するテストを除外した（図１２の（２）参照）試験シナリオＴ１を作成する。そして、学習・検知サーバ８は、「試験状況レーン」に示すように、試験シナリオＴ１の実施によって、試験区間Ｐ６－４の間のホスト４ｔの通信から初期モデルｔ１を生成する。これによって、学習・検知サーバ８は、不要な通信Ｃｊ４ａ，Ｃｊ４ｂ，Ｃｊ４ｃが学習に取り込まれていない初期モデルｔ１であって、初期モデルｔ０より精度の高い初期モデルｔ１を生成できる（図１２の（４）参照）。この試験区間Ｐ６－４の間のホスト４ｔの通信に対し、モデルａ１，ｂ１，ｃ１の検知はない（図１２の（３－ａ，３－ｂ，３－ｃ）参照）。

［通信処理の処理手順］
次に、実施の形態２における通信処理の流れについて説明する。図１３は、実施の形態２に係る通信処理の処理手順を示すシーケンス図である。

図１３に示すステップＳ２１～ステップＳ３１は、図６に示すステップＳ１～ステップＳ１１と同じ処理内容である。そして、学習・検知サーバ９は、生成したモデルを学習・検知サーバ８にエクスポートする（ステップＳ３２）。

続いて、ステージング用ネットワーク１では、学習・検知サーバ８は、テスト実行サーバ３によるホスト４ｔへのテスト通信（ステップＳ３３）によって発生したホスト４ｔとテスト実行サーバ３との間の通信（ステップＳ３４）をキャプチャし（ステップＳ３５）、ホスト４ｔの通信を、学習・検知サーバ９が生成したモデルを用いて監視する（ステップＳ３６）。

そして、学習・検知サーバ８は、学習・検知サーバ９が生成したモデルが検知した通信があるか否かを判定する（ステップＳ３７）。学習・検知サーバ８は、学習・検知サーバ９が生成したモデルが検知した通信があると判定した場合（ステップＳ３７：Ｙｅｓ）、検知した通信をテスト実行サーバ３に通知する（ステップＳ３８）。

テスト実行サーバ３は、学習・検知サーバ９が生成したモデルが検知した通信をテスト通信から除外し（ステップＳ３９）、テスト通信を行う（ステップＳ４０）。これに応じて、学習・検知サーバ８は、ホスト４ｔとテスト実行サーバ３との間の通信（ステップＳ４１）とをキャプチャする（ステップＳ４２）。学習・検知サーバ８は、学習・検知サーバ９が生成したモデルでホスト４ｔの通信を監視しながら、ホスト４ｔの通信を学習して最新の初期モデルを生成する（ステップＳ４３）。

運用ネットワーク２では、学習・検知サーバ９は、ホスト状況を確認し（ステップＳ４４）、新規ホスト追加または監視外のホストを発見したかを判定する（ステップＳ４６）。学習・検知サーバ９は、新規ホスト追加及び監視外のホストを発見していないと判定した場合、ステップＳ４４に戻り、ホスト状況の確認を継続する。

これに対し、学習・検知サーバ９は、ホスト５ｎの新規接続（ステップＳ４５）によって、新規ホスト追加または監視外のホストを発見したと判定した場合について説明する。この場合、学習・検知サーバ９は、ステージング用ネットワーク１から最新の初期モデルのインポートを受け（ステップＳ４７）、この初期モデルを用いて、新たなホスト５ｎと他の装置（例えば、第２の通信先の装置）と間の通信（ステップＳ４８－１）をキャプチャして（ステップＳ４８－２）監視しながら、ホスト５ｎのモデルを生成する（ステップＳ４９）。続いて、学習・検知サーバ９は、生成したホスト５ｎのモデルを用いて、ホスト５ｎと例えば、第２の通信先の装置との間の通信（ステップＳ５０－１）をキャプチャして（ステップＳ５０－２）、ホスト５ｎの通信を監視し（ステップＳ５１）、異常通信の検知を行う。

［実施の形態２の効果］
このように、実施の形態２では、運用ネットワーク２の学習・検知サーバ９は、自装置が生成したホスト５のモデル（第１のモデル）を、ステージング用ネットワーク１の学習・検知サーバにエクスポートする。そして、テスト実行サーバ３は、第１の通信テストを行う。この際、学習・検知サーバ８は、第１のモデルを用いて、第１の通信テストにおいてテスト通信とホスト４ｔによる通信とから異常通信を検知する。そして、テスト実行サーバ３は、学習・検知サーバ８が異常通信として検知したテスト通信を除外して第２の通信テストを行う。そして、学習・検知サーバ８は、第２の通信テストにおいてテスト通信とホスト４ｔによる通信とを学習して新たな初期モデルを生成して、新たな初期モデルを学習・検知サーバ９にインポートする。

したがって、実施の形態２では、運用中には使用されない未使用機能であるため正常状態に含めないでよい通信を、初期モデルの学習対象から排除することによって、初期モデルの精度を向上することができる。

［実施の形態３］
次に、実施の形態３について説明する。実施の形態３では、運用ネットワーク２において、監視・検知処理の過程において異常と検知された正常な過検知通信が発生した場合であっても、学習・検知サーバ９における学習フェーズ完了の長期化を防止しながら過検知通信を学習・検知する方法について説明する。実施の形態３に係る通信システムは、実施の形態１に係る通信システム１００と同じ構成を有する。実施の形態３では、運用ネットワーク２におけるホストとしてホスト５ｄ，５ｅが接続された場合を例に説明する。

実施の形態１，２では、ホスト５の運用ネットワーク２のホスト５の通信として、ホスト４ｔの全機能を網羅的にチェックする総合的なテストによりホスト４ｔから発生する通信のサブセットを基にする場合の例を示した。しかしながら、運用ネットワーク２によっては、その運用ネットワーク２特有の通信が発生することが考えられる。例えば、既に運用ネットワーク２に監視システムが存在しており、新規に接続したホスト５に対し、ヘルスチェックの通信や、メンテナンスなどの普段とは違う機能の使い方による普段とは異なる通信が発生する場合である。

この状況を、運用ネットワーク２に新たにホスト４ｄとホスト４ｅが接続した場合を例に説明する。図１４は、モデルが学習した通信とホスト４ｄの通信との関係を示す図である。図１５は、モデルが学習した通信とホスト４ｅの通信との関係を示す図である。

図１４及び図１５は、学習・検知サーバ９が、ステージング用ネットワーク１からインポートしてきた初期モデルｔ１を使用して監視をしている場合を想定する。領域Ａｄ，Ａｅは、ステージング用ネットワーク１からインポートされた最新の初期モデルｔ１が学習した通信の集合であり、初期モデルｔ１に入力された通信情報である。前述のように、運用ネットワーク２によっては、その運用ネットワーク２特有の通信が発生することが考えられる。例えば、運用中に実際にホスト５ｄ，５ｅが発生する通信群Ｇｄ，Ｇｅ内の通信Ｃｄ，Ｃｅは、運用中にホスト４ｄおよびホスト４ｅに対して特有の使い方をした場合に発生する通信である。しかしながら、これらの通信Ｃｄ，Ｃｅは、初期モデルｔ１の入力情報には含まれない。

この結果、学習・検知サーバ９が、初期モデルｔ１を用いて監視・検知を行った場合、通信Ｃｄ，Ｃｅは、異常ではないのに異常と判断される通信として検知されてしまうことになる。この通信Ｃｄ，Ｃｅは、本来なら異常として検知されるべきではない通信である。以降、このような通信Ｃｄ，Ｃｅを、過検知通信とする。

ここで、過検知通信は、正常状態として学習すべき通信である。具体的には、学習・検知サーバ９は、ホスト５ｄでの過検知通信を、ホスト５ｄのモデルに取り込み、ホスト５ｅでの過検知通信は、ホスト５ｅのモデルに取り込んで学習することによって、その後の過検知通信を抑制することができる。

しかしながら、学習・検知サーバ９が、過検知通信を各ホスト５のモデルに取り込んで学習する場合、モデルへ取り込みまでに一定のタイムラグが発生する。これは、所定の分析装置において、検知された通信を分析し、異常であるか過検知通信であるかを識別してから、過検知通信であることが判明した後に、この通信を学習に取り込むためである。このタイムラグの発生が、学習フェーズの長期化を招くことになる。以降、この学習フェーズ完了までのタイムラグを「遅延問題」と呼ぶこととする。この遅延問題は、モデルの完成が遅れる、つまり、より新しいモデルでの監視の開始が遅れるという影響を及ぼす。そこで、本実施の形態３では、この遅延問題を発生させず過検知通信の抑止も行う方法を提案する。

［運用ネットワークにおける処理の流れ］
図１６は、実施の形態３における運用ネットワーク２におけるホスト５ｄ，５ｅに対する通信、学習及び監視の状態を模式的に示した図である。図１６の模式図のうち、左図は、学習・検知サーバ９における運用ネットワーク全体に対する学習状況及び監視状況を示し、中央図は、学習・検知サーバ９におけるホスト５ｄに対する学習状況及び監視状況を示し、右図は、学習・検知サーバ９におけるホスト５ｅに対する学習状況及び監視状況を示す。

図１６の中央図及び右図に示すように、学習・検知サーバ９は、通信区間Ｐ１－５，Ｐ２－５の間のホスト５ｄ，５ｅの通信を、ステージング用ネットワーク１において生成された最新の初期モデルｔ１を使用して監視しながら、ホスト５ｄ，５ｅの通信を取り込んでモデルｄ´１，ｅ´１を生成する。この際、通信区間Ｐ１－５，Ｐ２－５において、初期モデルｔ１によって、通信Ｃｄ１，Ｃｄ２，Ｃｅ１，Ｃｅ２が異常であると検知される。なお、図１６の例では、学習・検知サーバ９は、「検知状況レーン」にあるように、通信Ｃｄ１，Ｃｅ１が初期モデルｔ１によって「トラフィックｒ１で検知」されたこと、通信Ｃｄ２が初期モデルｔ１によって「トラフィックｓ１で検知」されたこと、及び、通信Ｃｅ２が初期モデルｔ１によって「トラフィックｓ６で検知」されたことを識別できるものとする（図１６の（１－ｄ１），（１－ｄ２），（１－ｅ１），（１－ｅ２）参照）。

学習・検知サーバ９は、中央図及び右図に示すように、５ｄ，５ｅの通信のうち、初期モデルｔ１によって検知された通信Ｃｄ１，Ｃｄ２，Ｃｅ１，Ｃｅ２は学習に含めずに（図１６の（２－ｄ），（２－ｅ）参照）、各ホスト５ｄ，５ｅに対するモデルを生成する（図１６の（３－ｄ），（３－ｅ）参照）。すなわち、学習・検知サーバ９は、５ｄ，５ｅの通信から、初期モデルｔ１を用いて異常通信と検知された通信を除外した通信を学習して、ホスト５ｄ用のモデルｄ´１（第１のモデル）及びホスト５ｅ用のモデルｅ´１（第１のモデル）を生成する。そして、学習・検知サーバ９は、それぞれ生成したモデルｄ´１及びホスト５ｅ用のモデルｅ´１を用いて、ホスト５ｄ，５ｅを監視する。

さらに、学習・検知サーバ９は、左図に示すように、運用ネットワーク２全体について、初期モデルｔ１によって異常通信であると検知された通信が過検知通信の場合に、この過検知通信である通信Ｃｄ，Ｃｅを学習して、過検知通信以外の異常通信を検知するモデルｕ１（第２のモデル）を生成する（図１６の（４），（５）参照）。

そして、学習・検知サーバ９は、運用ネットワーク２全体については、モデルｕ１を用いて、運用ネットワーク２全体の通信を監視する（図１６の（６）参照）。したがって、図１６に示す例では、最終的に、学習・検知サーバ９は、運用ネットワーク２全体については、モデルｕ１による監視を行い（通信区間Ｐ７－５参照）、ホスト５ｄについては、モデルｄ’１による監視を行い（通信区間Ｐ３－５参照）、ホスト５ｅについては、モデルｅ’１による監視を行う（通信区間Ｐ９－５参照）。

具体的な監視の処理は、学習・検知サーバ９は、ホスト５ｄ，５ｅの通信を、過検知通信を学習したモデルｕ１を用いて監視を行うとともに（図１６の矢印Ｙｄ，Ｙｅ参照）、ホスト５ｄ，５ｅそれぞれで生成したモデルｄ’１とモデルｅ’１とを用いた監視を行う。

そして、ホスト５ｄ，５ｅの通信において、仮に過検知通信があった場合、モデルｄ’１またはモデルｅ’１では検知されるが、モデルｕ１では検知されない。このため、学習・検知サーバ９は、これらのモデル間の検知状況の違いから、検知された事象が過検知通信であるか否か、つまり正常として判断してよいか否か、を識別することができる（図１６の（７）参照）。

すなわち、学習・検知サーバ９は、モデルｄ’１またはモデルｅ’１を用いて異常通信と検知された通信であって、モデルｕ１を用いて異常通信と検知されなかった通信を過検知通信として識別する。一方、学習・検知サーバ９は、モデルｄ’１またはモデルｅ’１を用いて異常通信と検知された通信であって、モデルｕ１を用いて異常通信と検知された通信を分析対象の通信として出力する。以降、学習・検知サーバ９は、ホスト５ｄ，５ｅの通信から、モデルｄ’１またはモデルｅ’１を用いて異常通信と検知された通信を除外した通信を学習してモデルｄ’１またはモデルｅ’１を更新する。これとともに、学習・検知サーバ９は、モデルｄ’１またはモデルｅ’１によって異常通信と検知された通信のうち過検知通信を学習しモデルｕ１を更新する。

［通信処理の処理手順］
次に、実施の形態３における通信処理の流れについて説明する。図１７は、実施の形態３に係る通信処理の処理手順を示すシーケンス図である。

図１７に示すステップＳ６１～ステップＳ６６は、図６に示すステップＳ１～ステップＳ６と同じ処理内容である。そして、学習・検知サーバ９は、初期モデルを用いて、新たなホスト５と他の装置との通信を監視しながら、ホスト５のモデル生成のために学習を行う（ステップＳ６７）。この際、学習・検知サーバ９は、ホスト５用のモデル（初期モデル）において検知した通信があるか否かを判定する（ステップＳ６８）。

学習・検知サーバ９は、ホスト５用のモデルにおいて検知した通信があると判定した場合（ステップＳ６８：Ｙｅｓ）、ホスト５の通信から検知した通信を除去して（ステップＳ６９）、ホスト５の通信を学習し、ホスト５のモデルを生成する（ステップＳ７０）。これに対し、学習・検知サーバ９は、ホスト５用のモデルにおいて検知した通信がないと判定した場合には（ステップＳ６８：Ｎｏ）、そのままホスト５の通信を学習し、ホスト５のモデルを生成する（ステップＳ７０）。

そして、学習・検知サーバ９は、ホスト５用のモデルにおいて検知した通信があると判定した場合（ステップＳ６８：Ｙｅｓ）、この検知した通信が過検知通信の場合、この検知した過検知通信を学習に含めて（ステップＳ７１）、運用ネットワーク２全体用のモデルを生成する（ステップＳ７２）。

学習・検知サーバ９は、ホスト５と他の装置（例えば、第１の通信装置）との間の通信（ステップＳ７３－１）をキャプチャし（ステップＳ７３－２）、ステップＳ７０において生成したモデルを用いてホスト５の監視を行う（ステップＳ７４）とともに、ステップＳ７２において生成した運用ネットワーク２全体用のモデルを用いて、運用ネットワーク２全体の監視を行う（ステップＳ７５）。

そして、学習・検知サーバ９は、ホスト５用のモデルで検知した通信があるか否かを判定する（ステップＳ７６）。学習・検知サーバ９は、ホスト５用のモデルで検知した通信がないと判定した場合（ステップＳ７６：Ｎｏ）、ホスト５用のモデルで検知されていない通信を用いて学習を行いホスト５用のモデルを更新する（ステップＳ７７）。

これに対し、学習・検知サーバ９は、ホスト５用のモデルで検知した通信があると判定した場合（ステップＳ７６：Ｙｅｓ）、この通信が全体モデルでも検知されたか否かを判定する（ステップＳ７８）。学習・検知サーバ９は、この通信が全体モデルでは検知されないと判定した場合（ステップＳ７８：Ｎｏ）、この通信は、過検知通信である、すなわち、正常であると識別し（ステップＳ７９）、次の通信に対する監視・検知に戻る。

一方、学習・検知サーバ９は、この通信が全体モデルでも検知されたと判定した場合（ステップＳ７８：Ｙｅｓ）、分析対象として外部の分析装置等に出力する（ステップＳ８０）。学習・検知サーバ９は、この通信に対する分析結果が異常である場合には（ステップＳ８１：異常）、本通信に対する対処の依頼通知を外部の対処装置等に出力する（ステップＳ８２）。また、学習・検知サーバ９は、この通信に対する分析結果が正常である場合には（ステップＳ８１：正常）、本通信が過検知通信であるとして学習に含める指示を受け付けると（ステップＳ８３）、この通信を過検知として学習に含め（ステップＳ７１）、全体用モデルを更新する（ステップＳ７２）。

［従来技術との比較］
従来技術と本実施の形態３とにおける通信処理の流れについて説明する。図１８は、従来技術における通信の監視及び過検知通信の学習について説明する図である。図１９は、実施の形態３における通信の監視及び過検知通信の学習について説明する図である。

図１７に示すように、従来では、ホスト５ｄ，５ｅの通信を取り込んでモデルを生成している最中に、異常を検知した通信（例えば、通信ｃｄ１，ｃｅ１）を取り込むか否かは、他の分析装置或いは解析担当者の分析結果を待つ必要があった。したがって、従来では、通信の異常を検知した時から、この検知した通信が過検知通信であると分析され学習に取り込むまでの期間Ｔｄ´，Ｔｅ´が長く、ホスト５ｄ，５ｅのモデルを生成するまで時間がかかっていた（例えば、時間ｔｄ´，ｔｅ´）。

これに対し、本実施の形態３では、図１８に示すように、学習・検知サーバ９は、ホスト５ｄ，５ｅの通信を取り込んでモデルを生成している最中に通信ｃｄ１，ｃｅ１の異常を検知した場合、この通信ｃｄ１，ｃｅ１を学習対象から除外して、ホスト５ｄ，５ｅそれぞれのモデルを完成させる。そして、学習・検知サーバ９は、通信ｃｄ１，ｃｅ１が過検知通信である場合には、この過検知通信を学習して、運用ネットワーク２全体のモデルを生成する。

このように、本実施の形態３では、ホスト５のモデル（第１のモデル）と、運用ネットワーク２全体用のモデル（第２のモデル）とを分離して、運用ネットワーク２全体のモデルに過検知通信を学習させる手法を取る。この結果、学習・検知サーバ９は、通信の異常を検知した時から、この検知した通信が過検知通信であると分析され学習に取り込むまでの期間Ｔｄ´，Ｔｅ´を必要としないため、従来と比して、ホスト５ｄ，５ｅのモデルを生成するまでの時間がｔｄ（＜ｔｄ´），ｔｅ（＜ｔｅ´）に短縮することができる。

以上より、実施の形態３においては、学習・検知サーバ９は、異常通信が発生した場合に、ホスト５ごとのモデルで検知するほか、運用ネットワーク２全体用のモデルでも検知を行う。そして、学習・検知サーバ９は、ホスト５ごとのモデルと、全体用のモデルとにおける検知結果を比較することによって、異常通信と過検知通信との識別が可能となる。

すなわち、実施の形態３では、過検知通信をホスト５のモデル（第１のモデル）の学習に含めず、運用ネットワーク２全体のモデル（第２のモデル）の学習に含めるという分離した学習手法を取る。この結果、実施の形態３では、運用ネットワーク２のホスト５特有の使用による通信（過検知）に影響を受けない形で、かつ、遅延問題を発生させずに各ホストのモデルの生成と過検知通信の学習とが可能となり、学習フェーズ中の脆弱な期間の長期化を抑止することができる。

［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。本実施の形態に係る推定装置１０，２１０は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。

また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図２０は、プログラムが実行されることにより、学習・検知サーバ８，９が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習・検知サーバ８，９の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習・検知サーバ８，９における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

１ ステージング用ネットワーク
２ 運用ネットワーク
３ テスト実行サーバ
４ｔ，５，５ａ～５ｅ，５ｎ ホスト
８，９ 学習・検知サーバ
１１ 通信部
１２ 記憶部
１３ 制御部
１２１ モデル
１３１ 学習部
１３２ 監視・検知部
１３３ モデル送受信部

Claims (5)

1. 第１のネットワークと、第２のネットワークとを有する通信システムであって、
   前記第１のネットワークは、
   第１の通信装置と、
   前記第１の通信装置に正常状態のテスト通信を送信し、前記第１の通信装置による通信を受信する通信テストを行うテスト装置と、
   前記テスト通信と前記第１の通信装置による通信とを学習して前記第１の通信装置の異常通信を検知する初期モデルを生成し、前記初期モデルを前記第２のネットワークに送信する第１のサーバ装置と、
   を有し、
   前記第２のネットワークは、
   前記第１の通信装置と同型の第２の通信装置と、
   前記第１のサーバ装置から受信した前記初期モデルを用いて前記第２の通信装置の通信を監視しながら、前記第２の通信装置の通信を学習して前記第２の通信装置の異常通信を検知する第１のモデルを生成する第２のサーバ装置と、
   有することを特徴とする通信システム。
2. 前記第２のサーバ装置は、前記第１のモデルを前記第１のサーバ装置に送信し、
   前記テスト装置は、第１の前記通信テストを行い、
   前記第１のサーバ装置は、前記第１のモデルを用いて、前記第１の通信テストにおいて前記テスト通信と前記第１の通信装置による通信とから異常通信を検知し、
   前記テスト装置は、前記第１のサーバ装置が異常通信として検知した前記テスト通信を除外して第２の前記通信テストを行い、
   前記第１のサーバ装置は、前記第２の通信テストにおいて前記テスト通信と前記第１の通信装置による通信とを学習して新たな前記初期モデルを生成し、前記新たな初期モデルを前記第２のサーバ装置に送信することを特徴とする請求項１に記載の通信システム。
3. 前記第２のサーバ装置は、前記第２の通信装置の通信から、前記初期モデルまたは前記第１のモデルを用いて異常通信と検知された通信を除外した通信を学習して、前記第１のモデルを生成或いは更新するとともに、前記異常通信と検知された通信のうち正常である過検知通信を学習して前記過検知通信以外の異常通信を検知する第２のモデルを生成することを特徴とする請求項１または２に記載の通信システム。
4. 前記第２のサーバ装置は、前記第１のモデルを用いて異常通信と検知された通信であって前記第２のモデルを用いて異常通信と検知されなかった通信を前記過検知通信として識別し、前記第１のモデルを用いて異常通信と検知された通信であって前記第２のモデルを用いて異常通信と検知された通信を分析対象の通信として出力することを特徴とする請求項３に記載の通信システム。
5. 第１の通信装置とテスト装置と第１のサーバ装置とを有する第１のネットワークと、前記第１の通信装置と同型の第２の通信装置と第２のサーバ装置とを有する第２のネットワークと、を有する通信システムが実行する通信方法であって、
   前記テスト装置が、前記第１の通信装置に正常状態のテスト通信を送信し、前記第１の通信装置による通信を受信する通信テストを行う工程と、
   前記第１のサーバ装置が、前記テスト通信と前記第１の通信装置による通信とを学習して前記第１の通信装置の異常通信を検知する初期モデルを生成する工程と、
   前記第１のサーバ装置が、前記初期モデルを前記第２のサーバ装置に送信する工程と、
   前記第２のサーバ装置が、前記第１のサーバ装置から受信した前記初期モデルを用いて前記第２の通信装置の通信を監視しながら、前記第２の通信装置の通信を学習して前記第２の通信装置の異常通信を検知する第１のモデルを生成する工程と、
   を含んだことを特徴とする通信方法。

Images